"OAuth"は何と読むか - 頭ん中 http://www.msng.info/archives/2010/04/oauth_is_pronounced_oh_auth.php
本稿はJCB Tech Blog Advent Calendar 2022の12月25日の記事です。 JCBデジタルソリューション開発部アーキテクトチームの長沼です。 JDEPではID管理にOktaを利用しており、 開発者のID管理をOkta Workforce Identity Cloud、アプリ利用者のID管理をOkta Customer Identity Cloud（旧Auth0、以下CIC） と使い分けています。 今回はSingle Page Application（以下SPA）からCICを使うためのクライアントライブラリであるSPA SDKで面白い気づきがありましたので、ご紹介したい…
【ニュース】■2022年 ◆盗まれたOAuthユーザートークンでGitHubリポジトリからデータ奪う攻撃発生 (マイナビニュース, 2022/04/19 08:51) https://news.mynavi.jp/techplus/article/20220419-2324411/ ⇒ https://malware-log.hatenablog.com/entry/2022/04/19/000000_7 ◆MS、「Exchange」の悪用によるスパム送信事例を紹介--MFAで回避できた可能性も (ZDNet, 2022/09/26 11:29) https://japan.zdnet.com…
はじめに OAuth 2.0 と OAuth 2.1 の違い 1. Authorization Code grant フローでは PKCE を標準で使用する 2. リダイレクトURIの検証は文字列の完全一致で行わなければならない 3. Implicit grant フローは仕様から除去される 4. Resource Owner Password Credentials grant フローは仕様から除去される 5. Bearer トークンをURIのクエリ文字列として渡す方法は仕様から除去される 6. パブリッククライアントでは、リフレッシュトークンを利用できる送信者または利用回数を制限する 何を…
今までのVAddyの脆弱性診断では、VAddyが発行する認証htmlファイルを検査対象サーバに設置が必須でした。 そのため認証ファイルが置けないAuth0、AWS Cognito、Azure AD B2CのようなIDaaS利用アプリケーションは検査時にシナリオの再現ができず、それらはログインセッションが有効な間だけVAddyで検査できる状況でした。 新機能と制限 今回、サーバ所有者確認をスキップする機能をリリースしました。これにより、IDaaSのログインリクエストも検査のシナリオ（クロール記録）に含めることができ、VAddyの検査時にセッションが切れても自動的にAuth0などに再ログインして検…
概要 Auth 屋さんの書籍を全て（2022 年 4 月 18 日現在）読んだので、全体を通しての感想です。 authya.booth.pm Auth 屋の 3 冊（2022 年 4 月 18 日現在）を読み切った感想 今回で、Auth 屋さんが出している書籍を全て読み切ることができました。 過去に「OAuth 徹底入門 セキュアな認可システムを適用するための原則と実践」という本を読みました。 この書籍は、日本語が読みづらかったり、独特な言い回しがあったり、突然新しい単語が出てくるなどと、初学者にとって読みづらいところが多くありました。 なので、私自身も読み進めるのに苦労し、読み終えた時には …
概要 「OAuth・OIDC への攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編）」を読みました。 書籍の感想を記述します。 authya.booth.pm 書籍の感想 Auth 屋（@authyasan）さんが執筆している、OAuth、OIDC 関連の書籍の 3 冊目です。 タイトルの通り、今回は攻撃と対策の本です。 最初に軽く、OAuth と OpenIDConnect（以下、OIDC）の振り返りがあります。 しかし、それらについて学べるハンズオンは過去の 2 冊（雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本、OAu…
概要 「OAuth、OAuth 認証、OpenID Connect の違いを整理して理解できる本」を読みました。 感想を記述します。 authya.booth.pm 感想 Auth 屋（@authyasan）さんが執筆している、OAuth、OIDC 関連の書籍の 2 冊目です。 1 冊目の「雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本」は OAuth2.0 のみで、OIDC については触れられていませんでした。 今回は OIDC がメインの書籍です。 割と OAuth2.0 の理解が前提となっています。 最初に軽い OAuth2.…
概要 「雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本」を読みました。 感想を記述します。 authya.booth.pm 感想 Auth 屋（@authyasan）さんが執筆している、OAuth、OIDC 関連の書籍の一冊目です。 OpenIDConnect は解説せず、続編の「OAuth、OAuth 認証、OpenID Connect の違いを整理して理解できる本」にて述べられています。 なので内容は OAuth（OAuth2.0）とは、OAuth に登場する用語、OAuth のグラントタイプ、チュートリアルとなっています。 1…
先月10月はブログ記事を書けなかったので、今月はその分を入れて2本書きたい。 さて、OAuthに関する書籍を読んだので、その感想を書いておこうと思う。 今回読んだのはAuth屋の本を2冊読んだ。 雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本 - Auth屋 - BOOTH OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本 - Auth屋 - BOOTH 最初の雰囲気～の方は商業版があり、Amazonや楽天で購入することができるが、BOOTHでPDF版を購入した。 感想と書籍内のチュートリアルが現在（20…
「OAuth 徹底入門 セキュアな認可システムを適用するための原則と実践」[Justin Richer (著), Antonio Sanso (著), Authlete Inc. (監修), 須田 智之 (翻訳), 2019]を読みました。 OAuth徹底入門 セキュアな認可システムを適用するための原則と実践作者:Justin Riche,Antonio Sanso翔泳社Amazon 感想について記述していきます。 感想 OAuth の入門書の中で有名だと思われる本です。 知り合いのエンジニアとの勉強会の課題図書だったの、じっくり読み進めていきました。 簡単に書くと OAuth の知識を網羅で…
どうもーキュービックでテックリードをやっている尾﨑です。 本日は会計や組織データなどのマスタ管理を行なっているNetSuiteとREST API連携した時のお話をしたいと思います。 Komawoの全体アーキテクチャ スクラッチで連携した事例は希少だと思うので、困っている方の課題解決に繋がると嬉しいです。 今回は前回のOAuth2.0認証に続いて、クライアント証明書認証によるREST API連携をご紹介したいと思います。 ・OAuth2.0トークン認証によるREST API連携 ・OAuth2.0クライアント認証によるRest API連携★ ・トークンベース認証によるRestlet API連携 …
github.com言語はpythonね。うーんと、ウチのpython3.7と3.10が入ってる www.python.jp最新は3.11だからそんなに変わってないと思う・・・思うだけだけど(^_^;)えぇと・・・ギフハブ苦手・・・ GitHubからダウンロードする方法 - Humblesoft/WikiZIPで解凍・・・最近解凍って言わないよね。なんでそういう残酷なことを・・・まぁいいや・・・。えーっと よく分からんからpythonのフォルダに入れよっと。んで？ HATENA_CONSUMER_KEYとHATENA_CONSUMER_SECRETを取得か。 最終的にはサブアカウントで運用する…
Hello there, ('ω')ノ (ビジネス ロジック) アカウント乗っ取りの脆弱性を発見して稼いだ方法を。 脆弱性： アカウントの乗っ取り 認証バイパス 記事： https://medium.com/@0xd3vil/how-i-earned-1800-for-finding-a-business-logic-account-takeover-vulnerability-c84c78e6ade0 今回は、アカウント乗っ取りの脆弱性を最近発見したことを。 この脆弱性により、認証情報や被害者からのやり取りがなくても、 被害者のアカウントにアクセスできてしまい。 脆弱性の詳細と、それを再現す…
はじめに OAuthってなに？ OAuth2.0を使った認証で何ができるのか？ Google APIの設定手順 1.Google Cloud Platformの設定ページへアクセスする 2.プロジェクトを作成しnext-rails-google-authと名前を付ける 3.メニューの「APIとサービス」>「OAuth同意画面」> User Typeは「外部」を選択して「作成」をクリックする 4.アプリ名、メールアドレスを入力し「保存して次へ」をクリックする 5.「スコープを追加または削除」で「Googleアカウントのメインのメールアドレスの参照」をチェックして「更新」したのち、「保存して次へ」…
経緯 環境 実装 感想 公式サイト 参考サイト 経緯 RSSリーダー作ったのだが、英語サイトも購読している。 その際、英語だと視認性が悪いので、翻訳したいと考えて、翻訳のAPIがないか探したら、"みんなの自動翻訳"ってAPIが無料で使えるらしいので、使うことにした。 その際に使い方を調べたので、まとめておく。 環境 nodeからAPIを呼び出しているので、nodeのバージョンと利用しているモジュールのバージョンを記載 $ node -v v18.6.0 "axios": "^1.3.4", "axios-oauth-client": "^2.0.2", "dotenv": "^16.0.3",…
特定の利用者が所有するリソースが，WebサービスA上にある。OAuth2.0において，その利用者の認可の下，WebサービスBからそのリソースへの限定されたアクセスを可能にするときのプロトコルの動作はどれか。 WebサービスAが，アクセストークンを発行する。 WebサービスAが，利用者のディジタル証明書をWebサービスBに送信する。 WebサービスBが，アクセストークンを発行する。 WebサービスBが，利用者のディジタル証明書をWebサービスAに送信する。 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 ア 解説 Webサー…
entakurb.doorkeeper.jp Rubyコミュニティで日頃からお世話になっている大倉さんが主催するEntaku Talksというイベントで「5分で学ぶOAuth2.0」というテーマでLTをしました。 少人数制でフィードバックをいただくことが可能な会なため、これまでにLT登壇をされたことがない方にもおすすめです。 speakerdeck.com 私が今回参加した理由は、これまでもLT登壇経験はあったけれど、お気持ち系な内容を話すことが多く、今後はもっと自分が学んで得た知見や検証結果だったりの技術面に焦点を当てた発表もできるようになりたいという気持ちがあったためです。 通常のLT登壇…
はじめに AADにアプリケーションを登録する アプリケーションの作成 APIのアクセス許可 シークレットキーの発行 Microsoft Graph APIのPostmanコレクションをフォークする PostmanからGraph APIを実行する 認証情報を設定する Authorizationを設定する Graph APIを実行する おわりに はじめに 自分のブログにPostmanからMicrosoft Graph APIを実行する方法が書いてあると思ったらPostmanからDataverse Web APIを実行する方法しか書いてなかったのでまとめました。 なんで書いてないんだよ。 AADにア…
H27 春 問1 EV(Extended Validation)SSL 証明書 EV SSL 証明書とはCAとWebブラウザベンダで構成する業界団体である 「 CA/Browser フォーラム」が定めたWebサーバ用のディジタル証明書である． 従来のディジタル証明書よりも発行に当たっての審査基準を 厳しく設定しているためEV証明書を所有するサイトは通常の証明書を 所有するサイトよりも信頼性が高いといえる． サブジェクトフィールドは認証の対象となる組織の情報が記載されるフィールド であり，Organizational NameにはWebサイト運営団体の正確な名称が記載される． 問2 EAP-TL…
昨年末に2回ほど、GAS & slackの記事を書かせていただきました。 GAS & SlackでMeetのリンク自動生成Botを作ってみた - Briswell Tech Blog GAS & Slackで地震発生時の安否確認Botを作ってみた - Briswell Tech Blog 私自身プログラマではないため、記事を書くにあたってスクリプトの作成が肝だったりします。 というよりスクリプト組めなくて諦めた記事がいくつかあったりします。。。 そこで、今回は最近流行りのChatGPTを使うことで、この悩みが解消されるのでは？と思い実際にやってみた次第です。 プログラムとかよくわからないけど、…
やりたいこと Discordは便利なコミュニケーションアプリケーションであり、Discord botを開発することは、プログラミングに興味を持っている人にとって魅力的なプロジェクトの一つです。 今回は、Discord botをTypeScriptで作成し、!pingコマンドを送信すると、pong!が返ってくるようにする作業手順について説明します。 事前準備 このプロジェクトを完了するには、以下の環境が必要です。 TypeScript node.js 18 TypeScriptとnode.jsをインストールするには、それぞれの公式Webサイトから入手することができます。 また、Discord b…
この度所属している大学の大学生向けアプリを開発し Apple の App Store と Google の Play Store にリリースしました。 play.google.com マイルストーン MILESTONE HENSHUKAI, GENERAL INC. ASSOCIATION 教育 無料 apps.apple.com リリースから1週間経った時点でのアプリストアでのダウンロード数などのグラフです。自分が思った以上に使われていますね。 思えば生まれて初めてこういった形で自分の書いたコードで実際に人に使われるものが作れたなと感慨深いです。この記事ではアプリの開発の裏側、利用している技…
はじめに ChatGPT APIの練習として、N番煎じだが、SlackからChatGPTを呼び出すSlack Appを実装した。 Appの概要は、メンションで受け取ったメッセージをChatGPT APIにリクエストし、返答を同チャンネルに書き込む。 ふるまいの前提となるようなキャラクター、文脈も設定できるので、あなた好みのChatBotを実装しよう！ キャラクター設定した返答例 シンディ シンディ*1は Waifu Labs - Magical Anime Portraits で作成した。生成AIに頼りきっている。 Cloud Functions Cloud Functions | Googl…
はじめに OAuth 2.0 や OIDC についての話題が出るたび、毎回ふわっとした知識しか引き出せないので基礎からおさらいしました 認証の基盤は azure ad を使う機会がほとんどなので、上記知識を紐づけつつ触った内容をメモしていきたいと思います 以下動画＆ブログを参考に触っていきました OAuth & OIDC 入門編 Azure ADのIDトークンを取得し、クレームを確認する Azure AD で OIDC 認証するアプリを作ってみる 認可サーバー と OAuth 2.0 の概要 API経由でデータを取得するとき対策が何もないとすると、悪意のあるクライアントのリクエストにも、リソー…
1週間の振り返り チーム開発のissue対応 FBCのイベントを外部カレンダーで購読できるようにする（継続） JSPrimer輪読会 Rails Guide再読 自作サービスのDB設計 Googleログインの検証 vite_railsを使って環境構築 Fly.ioのデプロイテスト GitHubActionsの定期実行処理の調査 Google Calendar APIの調査 1週間の成果 FBCのイベントを外部カレンダーで購読できるようにする（継続） 週一で開催されているチーム開発MTGでコントローラーを切り出した方がよさそうというレビューをいただき、修正中です。 分割したは良いもののなぜ切り出…
yuroyoro.hatenablog.com
www.sakimura.org
qiita.com
zenn.dev
ritou.hatenablog.com
www.sakimura.org
qiita.com
www.msng.info
gihyo.jp
